[发明专利]工控蜜罐攻击数据来源的判别方法及装置

说明书

本发明实施例提供一种工控蜜罐攻击数据来源的判别方法及装置，所述方法包括：基于工控蜜罐捕获的数据，提取所述未知攻击来源的IP地址的原始特征；对所述原始特征进行降维、归一化和重构处理，获得所述未知攻击来源的IP地址的IP特征；利用KNN分类算法计算所述IP特征与预先构建的训练数据集中每个训练样本的距离，并选定距离最近的三个训练样本作为最邻近样本，根据所述最邻近样本对应的主要攻击来源来得到所述未知攻击来源的IP地址所对应的攻击来源。本发明实施例通过提取未知攻击来源的IP地址对应的IP特征，并根据所述IP特征采用KNN分类算法获得未知攻击来源的IP地址的攻击来源，能够有效地判别攻击IP的攻击来源。

技术领域

本发明涉及工业控制安全技术领域，更具体地，涉及一种工控蜜罐攻击数据来源的判别方法及装置。

背景技术

工业控制系统作为国家关键基础设施的重要组成部分，已成为国家级网络对抗的首要目标，面临着越发严峻的网络安全威胁。工控蜜罐可以主动诱捕攻击者，深入分析攻击来源和攻击手段特征。工控蜜罐不仅可以提升工业控制系统运维人员对安全威胁的发现、分析和处置能力，还可以指导相关管理人员在安全事件发生之前实施有效的安全行动决策。

目前，基于工控蜜罐捕获的海量原始攻击日志和流量数据包，由于缺乏适当的数据处理方法，提炼分析攻击来源具有一定的难度。攻击来源是发起攻击的组织或个人，它是威胁环境中最重要的部分。攻击者通常使用不同的IP地址或受害主机来隐藏其身份，这对识别攻击来源带来了一定的难度。针对这一情况，为了有效识别工控蜜罐数据攻击来源，亟需提供一种工控蜜罐攻击数据来源的判别方法。

发明内容

本发明实施例提供一种克服上述问题或者至少部分地解决上述问题的工控蜜罐攻击数据来源的判别方法及装置。

第一方面，本发明实施例提供一种工控蜜罐攻击数据来源的判别方法，包括：

对于一个未知攻击来源的IP地址，基于工控蜜罐捕获的与所述未知攻击来源的IP地址相关的日志信息和流量数据包，提取所述未知攻击来源的IP地址的原始特征；

对所述未知攻击来源的IP地址的原始特征进行降维、归一化和重构处理，获得所述未知攻击来源的IP地址的IP特征；

利用KNN分类算法计算所述未知攻击来源的IP地址的IP特征与预先构建的训练数据集中每个训练样本的距离，并选定距离最近的三个训练样本作为所述未知攻击来源的IP地址的最邻近样本，根据所述最邻近样本对应的主要攻击来源来得到所述未知攻击来源的IP地址所对应的攻击来源；

其中，所述预先构建的训练数据集中的每个训练样本为已知攻击来源的IP地址的IP特征。

第二方面，本发明实施例提供一种工控蜜罐攻击数据来源的判别装置，包括：

特征提取模块，用于对于一个未知攻击来源的IP地址，基于工控蜜罐捕获的与所述未知攻击来源的IP地址相关的日志信息和流量数据包，提取所述未知攻击来源的IP地址的原始特征；

特征处理模块，用于对所述未知攻击来源的IP地址的原始特征进行降维、归一化和重构处理，获得所述未知攻击来源的IP地址的IP特征；

类别判定模块，用于利用KNN分类算法计算所述未知攻击来源的IP地址的IP特征与预先构建的训练数据集中每个训练样本的距离，并选定距离最近的三个训练样本作为所述未知攻击来源的IP地址的最邻近样本，根据所述最邻近样本对应的主要攻击来源来得到所述未知攻击来源的IP地址所对应的攻击来源；

其中，所述预先构建的训练数据集中的每个训练样本为已知攻击来源的IP地址的IP特征。

第三方面，本发明实施例提供一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现如第一方面所提供的工控蜜罐攻击数据来源的判别方法的步骤。